Ce que cet outil fera et ne fera pas

La portée de cet utilitaire de téléchargement, les fonctionnalités qu'il ne possède délibérément pas et comment déterminer si vous pouvez télécharger quelque chose.

La version courte

Vous êtes responsable d'avoir l'autorisation de télécharger le fichier que vous collez. Cet outil ne peut pas vérifier cela et n'essaie pas de le faire : il ne sait pas qui vous êtes, ce que vous avez acheté ou ce que permet l'éditeur de ce fichier. La case de confirmation est une déclaration que vous faites, et non une autorisation accordée par cet outil.

Téléchargez uniquement les médias que vous possédez ou que vous êtes autorisé à télécharger.

Cet outil ne contourne pas les DRM, l'authentification, les paywalls ou les contrôles d'accès. Il n'y a pas de contournement des DRM ici, ni de contrôle d'accès ou de contournement d'authentification d'aucune sorte : aucun cookie ou identifiant n'est envoyé, aucun jeton ou session n'est créé et aucune signature ou chiffre n'est résolu.

Tout ce qui suit explique ce que ces phrases signifient dans la pratique et ce qui a été laissé de côté dans le produit pour les rendre vraies.

Ce que "authorised" signifie habituellement

Vous êtes sur des bases solides lorsque le fichier vous appartient, lorsqu'il a été publié en téléchargement ou lorsque sa licence le permet. Vos propres enregistrements et téléchargements. Fichiers auxquels votre employeur ou client vous a donné accès pour votre travail. Médias sous licence Creative Commons ou similaire permettant la réutilisation. Matériel du domaine public. Épisodes de podcast, publiés sous forme de téléchargements directs par conception. Actifs issus d'un dossier de presse ou d'un ensemble de données ouvert.

Vous n'êtes pas sur des bases solides lorsque le dossier est à l'origine d'une connexion, d'un abonnement ou d'un achat que vous n'avez pas effectué ; lorsque l'éditeur propose du streaming mais pas du téléchargement ; lorsque les conditions d’une plateforme l’interdisent ; ou quand vous ne savez tout simplement pas. Les règles de droit d'auteur diffèrent selon les pays et cette page ne constitue pas un conseil juridique. En cas de doute, demandez au titulaire des droits.

Capacités que cet outil n'a pas

Ce ne sont pas des fonctionnalités manquantes en attente d’une prochaine version. Ils sont volontairement exclus et le resteront, car la mise en œuvre de l’un d’entre eux modifierait la nature du produit.

Pas de décryptage DRM et aucune gestion des flux cryptés ou protégés.
Aucune résolution de signature, de chiffrement ou de jeton du type utilisé pour dériver les URL de lecture.
Pas d'extracteurs de plate-forme. Il n'y a aucun code ici qui connaît un site vidéo spécifique.
Pas de scraping de page et pas de lecture de l’état interne de l’application d’un site.
Pas d’API de plateforme privée ou non documentée, et pas d’usurpation d’identité d’une autre application.
Pas de contournement d'authentification, de jetons d'invité ou de création de session anonyme.
Pas de CAPTCHA ou d'évasion anti-bot.
Pas d'usurpation d'agent utilisateur, de référent ou autre usurpation d'en-tête, et pas d'identité tournante.
Pas de logique de nouvelle tentative qui change d'identité après un refus.
Aucun affaiblissement de la vérification du certificat TLS.
Aucune suppression de filigrane.
Aucun proxy ou relais côté serveur d'aucune sorte.
Aucun cookie ni identifiant envoyé à un hôte.

Pourquoi la liste est-elle si spécifique

Avant la création de cet outil, l'équipe ToolAcre a audité un téléchargeur de vidéos open source existant pour voir ce qui pourrait être réutilisé. La réponse était rien. Ses six extracteurs de plate-forme fonctionnaient chacun en éliminant le chemin d'accès prévu d'une plate-forme, et son point de terminaison de téléchargement récupérait n'importe quelle URL fournie par un visiteur et la renvoyait via le serveur, sans vérification de schéma, sans vérification d'hôte et sans blocage d'adresse privée.

La suppression du comportement interdit aurait supprimé l'intégralité du produit, celui-ci a donc été écrit à partir de zéro dans un but différent. La liste ci-dessus indique que les conclusions de l’audit sont devenues une limite permanente.

Pourquoi il n'y a pas de serveur

Un proxy ferait fonctionner davantage de liens. Cela signifierait également que votre fichier passe par une machine que vous ne contrôlez pas, et cela créerait un point de terminaison qui récupère des URL arbitraires sur demande – qui peuvent être pointées vers des adresses privées à l'intérieur du réseau d'hébergement pour atteindre des éléments qui n'ont jamais été censés être publics. Cette classe de bogues est appelée falsification de requêtes côté serveur et constitue l’une des vulnérabilités les plus couramment exploitées.

Choisir de ne pas avoir de serveur supprime la catégorie entière. Cela signifie également la réponse honnête à la question « où est passé mon dossier ? » est "de l'hôte que vous avez nommé à votre appareil et nulle part ailleurs".

Comment la vérification d'URL vous protège

Seuls les liens https sont acceptés, le fichier ne peut donc pas être lu ou modifié en transit. Les liens contenant un nom d'utilisateur ou un mot de passe sont refusés, à la fois parce que les informations d'identification contenues dans une URL ne sont pas sécurisées et parce que cette syntaxe est un moyen courant de masquer l'hôte réellement contacté.

Les adresses privées et internes sont refusées : le bouclage, les plages privées, les adresses link-local y compris celle que les fournisseurs de cloud utilisent par exemple les métadonnées, et les noms se terminant par .local ou .internal. Les formulaires obscurcis sont également refusés, car 2130706433, 0x7f000001, 0177.0.0.1, 127.1 et ::ffff:127.0.0.1 ont tous la même adresse que 127.0.0.1.

Si vous êtes titulaire des droits

Cet outil ne peut accéder à rien qu'un visiteur ne puisse déjà récupérer avec son navigateur. Il ne contient aucun index, ne stocke aucun média et ne possède aucun composant serveur susceptible d'héberger ou de mettre en cache votre contenu.

Si vos fichiers sont récupérés d'une manière que vous ne souhaitez pas, les mêmes contrôles qui régissent tout lien direct s'appliquent : exiger une authentification, utiliser des URL signées avec une expiration courte ou omettre l'en-tête d'origine croisée. Cet outil respecte les trois, car il ne s'agit que d'un navigateur effectuant une requête ordinaire.

Questions

Le téléchargement d'une vidéo est-il toujours illégal ?

Non, et ce n’est pas toujours légal non plus. Cela dépend du matériel, de la licence, des conditions de la plateforme et de la loi de votre pays. Vos propres fichiers et votre matériel sous licence ouverte conviennent généralement ; le matériel derrière un mur payant ou proposé uniquement en streaming ne l’est généralement pas. Cette page ne constitue pas un conseil juridique.

Est-ce que cela peut être téléchargé à partir d'un service de streaming ?

Non. Ces services protègent le contenu avec DRM et authentification, et cet outil n'implémente aucun contournement pour aucun des deux. Il n’envoie pas non plus de cookies, il ne peut donc pas agir en tant qu’utilisateur connecté.

Pourriez-vous ajouter la prise en charge d'une plate-forme spécifique ?

Non. Un extracteur de plateforme fonctionne en reconstruisant une URL de média que la plateforme n'a pas proposée, ce qui est la catégorie de comportement exclue par ce produit. Cela s’applique également à toutes les plateformes.

L'outil vous indique-t-il ce que je télécharge ?

Non. Il n’y a pas d’analyse, pas de journalisation et pas de serveur. L'URL ne quitte jamais votre navigateur, sauf sous la forme d'une requête adressée à l'hôte que vous avez nommé.

Que faire si je coche la confirmation et que je me trompe ?

La confirmation est une déclaration que vous faites, et non une autorisation accordée par cet outil. La responsabilité d’avoir droit à un fichier vous incombe. Si vous n'êtes pas sûr, demandez d'abord au titulaire des droits.

Pourquoi bloquer les adresses privées alors que cela s'exécute dans mon navigateur de toute façon ?

Défense en profondeur. Un navigateur limite déjà ce qu'une page peut atteindre, mais la vérification signifie que l'outil ne peut pas être utilisé pour sonder un réseau local, il rend explicite l'intention du produit et maintient la validation correcte si le code est jamais réutilisé quelque part avec moins de protections.

Limites

Cette page ne constitue pas un conseil juridique. Les règles de droit d'auteur et de contrat varient selon les pays et selon les plateformes.
La confirmation des droits est une déclaration de votre part et non une vérification par cet outil.
L'outil ne peut pas dire si vous avez réellement droit à un fichier et n'essaie pas de le faire.
Aucun support spécifique à la plate-forme n'existe ou ne sera ajouté, quelle que soit la plate-forme.
Les médias nécessitant une authentification sont inaccessibles, car aucun cookie ni identifiant n'est jamais envoyé.
Les hôtes qui refusent les lectures d’origines croisées ne peuvent pas être téléchargés à partir d’ici et aucune solution de contournement n’est proposée.